La sorveglianza post-commercializzazione (PMS) è il processo sistematico mediante il quale un fabbricante monitora attivamente le prestazioni e la sicurezza dei propri prodotti dopo che sono stati immessi sul mercato dell’UE. La PMS è un obbligo giuridico previsto da pressoché tutte le direttive sulla marcatura CE, non un’attività facoltativa di miglioramento della qualità. Il Cyber Resilience Act (CRA) dell’UE ha innalzato significativamente l’asticella, trasformando la PMS da una funzione passiva di raccolta dei reclami in un programma attivo e continuativo di monitoraggio della cibersicurezza.
Base giuridica
Gli obblighi di sorveglianza post-commercializzazione derivano da:
- Il Regolamento sulla sicurezza generale dei prodotti (GPSR, UE 2023/988) — si applica a tutti i prodotti di consumo; i fabbricanti devono raccogliere e analizzare le informazioni dal campo, indagare sugli incidenti e adottare azioni correttive
- Direttive settoriali specifiche — EMC, LVD, RED e il Regolamento Macchine richiedono tutte ai fabbricanti di monitorare le segnalazioni dal campo e indagare sulle questioni rilevanti per la sicurezza
- Regolamento sui dispositivi medici (UE 2017/745) — il regime PMS più prescrittivo; richiede un piano PMS formale, rapporti PMS (PSUR per la classe IIa e superiori), analisi dei segnali dal campo e rapporti periodici di aggiornamento sulla sicurezza
- Cyber Resilience Act dell’UE (UE 2024/2847) — richiede la gestione delle vulnerabilità per tutto il periodo di assistenza (almeno 5 anni, salvo che l’uso previsto del prodotto sia più breve) e la segnalazione per fasi delle vulnerabilità attivamente sfruttate e degli incidenti gravi — preallarme entro 24 ore, notifica entro 72 ore e rapporto finale — al CSIRT coordinatore e all’ENISA
Gli obblighi post-commercializzazione del CRA in dettaglio
I requisiti post-commercializzazione del CRA sono i più impegnativi sul piano operativo nel diritto UE sull’hardware:
| Obbligo | Tempistica | Chi deve agire |
|---|---|---|
| Preallarme — vulnerabilità attivamente sfruttata o incidente grave | Entro 24 ore dal momento in cui se ne viene a conoscenza | Fabbricante → CSIRT coordinatore ed ENISA (tramite la piattaforma unica di segnalazione) |
| Notifica della vulnerabilità / dell’incidente | Entro 72 ore dal momento in cui se ne viene a conoscenza | Fabbricante → CSIRT coordinatore ed ENISA |
| Rapporto finale | Vulnerabilità: entro 14 giorni dalla disponibilità di una misura correttiva o di mitigazione; incidente grave: entro un mese dalla notifica | Fabbricante → CSIRT coordinatore ed ENISA |
| Mantenimento della SBOM | Tenuta aggiornata nella documentazione tecnica; almeno le dipendenze di primo livello | Fabbricante |
| Politica di gestione delle vulnerabilità | Deve essere pubblicata e mantenuta | Fabbricante |
| Aggiornamenti di sicurezza | Devono essere forniti gratuitamente per il periodo di assistenza | Fabbricante → Utenti |
| Fine del periodo di assistenza | Data di fine indicata al momento dell’acquisto; ove tecnicamente fattibile, gli utenti ricevono una notifica al termine del periodo di assistenza | Fabbricante → Utenti |
Infrastruttura PMS per i prodotti hardware
Una sorveglianza post-commercializzazione efficace per l’hardware connesso richiede:
1. Monitoraggio del Software Bill of Materials (SBOM) L’SBOM deve essere confrontato in modo continuativo con le banche dati pubbliche delle vulnerabilità (CVE/NVD, OSV.dev, GitHub Advisory Database, avvisi di sicurezza dei fornitori). Quando una CVE interessa un componente presente nella SBOM, occorre valutarne l’impatto sulla specifica configurazione del prodotto.
2. Valutazione e triage delle vulnerabilità Non tutte le CVE in una dipendenza sono sfruttabili in una specifica configurazione di prodotto. Una libreria proprietaria compilata con flag specifici ed eseguita in un ambiente sandbox può non essere interessata da una vulnerabilità descritta nella CVE. Il triage richiede competenze specifiche del prodotto: gli scanner di CVE generici producono falsi positivi privi di questo contesto.
3. Infrastruttura di aggiornamento OTA Le patch di sicurezza devono raggiungere in modo affidabile i dispositivi dispiegati. Ciò richiede un’infrastruttura OTA autenticata (aggiornamenti firmware basati su manifest SUIT, o equivalenti), un meccanismo di staging/rollback e una telemetria che confermi l’adozione degli aggiornamenti nell’intero parco installato.
4. Processo di risposta agli incidenti Deve esistere un processo documentato per ricevere, effettuare il triage e rispondere alle vulnerabilità segnalate dall’esterno (divulgazione coordinata delle vulnerabilità), e tale processo deve essere referenziato pubblicamente nella documentazione del prodotto.
5. Processo di segnalazione CRA Il requisito di segnalazione entro 24 ore è impegnativo sul piano operativo. È necessario un alerting automatizzato dagli strumenti di monitoraggio della SBOM che alimenti un percorso di escalation definito: una revisione manuale quotidiana è insufficiente per la conformità.
PMS e gestione della qualità
La sorveglianza post-commercializzazione è distinta dalla gestione della qualità, ma vi confluisce:
| PMS | Gestione della qualità (QMS) | |
|---|---|---|
| Ambito | Prestazioni sul campo di prodotti specifici | Processi e sistemi che producono tali prodotti |
| Base normativa | Direttive di prodotto | ISO 9001, ISO 13485 (MDR), IEC 62443 (CRA) |
| Innesco | Dati di mercato, incidenti sul campo, divulgazioni di vulnerabilità | Non conformità, audit, riesame della direzione |
| Output | Azioni correttive, notifiche CRA, allerte di sicurezza | CAPA, miglioramenti di processo, valutazioni dei fornitori |